Microsoft Aspire CLI: Lokale Rechteerweiterung über unsicheres temporäres Verzeichnis
Zusammenfassung
Die Aspire CLI, Teil des .NET-Aspire-Frameworks von Microsoft, erstellt temporäre Dateien in einem Verzeichnis mit unsicheren Berechtigungen. Ein lokaler Angreifer mit gültigem Konto kann die Suche nach MSBuild-Antwortdateien beeinflussen und Code mit den Rechten des Benutzers ausführen, der die CLI startet. Die Herstellerwarnung nennt Linux und macOS (x64 und Arm64) und nicht Windows. Es ist eine Benutzerinteraktion erforderlich, und eine Ausnutzung ist nicht bekannt.
Betroffen
- Aspire.Cli ab 13.2.0 bis vor 13.6.5 gemäss der Microsoft-Warnung (linux-x64 und linux-arm64 ab 13.3.0, npm-Paket ab 13.4.2)
- Der CVE-Eintrag nennt 13.5.4 bis vor 13.6.5 als betroffenen Bereich; der breitere Bereich der Herstellerwarnung wird hier verwendet
- Plattformen: Linux und macOS, x64 und Arm64. Windows ist nicht aufgeführt.
- Builds, die mit aspire sdk generate, aspire sdk dump und aspire sdk export gestartet werden, sind betroffen
Behoben in
- Die Aspire CLI auf Version 13.6.5 oder neuer aktualisieren
- Bei Installation als .NET-Tool das Paket Aspire.Cli aktualisieren
- Die Korrektur wird separat von .NET-SDK und Runtime ausgeliefert; ein Standard-.NET-Update behebt das Problem daher nicht
Umgehung
- Unbekannt. Der Hersteller veröffentlicht keine Workaround-Massnahme.
- Bis zur Korrektur: Aspire CLI nicht auf gemeinsam genutzten Mehrbenutzersystemen oder Build-Agents mit mehreren Benutzern ausführen
- Prüfen, dass die von Build-Werkzeugen genutzten temporären Verzeichnisse nur für den jeweiligen Benutzer zugänglich sind
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung
- Rapid7: Exploitation Less Likely, nicht öffentlich bekannt gemacht
- Nicht in der CISA-KEV-Liste; kein öffentlicher Proof of Concept und keine bekannte Ausnutzung in freier Wildbahn
Unsere Empfehlung
- Aspire-CLI-Installationen auf Entwicklerrechnern, CI-Runnern und gemeinsam genutzten Linux- oder macOS-Systemen erfassen, einschliesslich .NET-Global-Tools und npm-Global-Installationen
- Auf Aspire CLI 13.6.5 oder neuer aktualisieren, einschliesslich des npm-Pakets
- Gemeinsam genutzte Build-Systeme und Mehrbenutzersysteme priorisieren
- Auf öffentliche Proof-of-Concept-Codes und Berichte über Ausnutzung achten
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-120778 msrc.microsoft.com
- Microsoft Aspire advisory (GitHub issue 22101) github.com
- CVE Record CVE-2026-120778 www.cve.org
- Rapid7: Patch Tuesday November 2026 www.rapid7.com
- Strix: CVE-2026-120778 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.